インド当局「AIで取引所に侵入し資金奪取」　週末・祝日攻撃に警告

ハッカーがAIを使って暗号資産取引所のセキュリティー上の弱点を突き、侵入後に内部の決済システムを操作して資金を奪っているとの警告が出た。警備体制が手薄になりやすい週末や祝日を狙った攻撃も確認された。

コインテレグラフが11月5日に伝えたところによると、インドのコンピューター緊急対応チーム（CERT-In）はハッカー集団「クラフティ・ファルコン」の攻撃手法を公表し、取引所や金融会社に警戒を呼びかけた。10月の初回警告に続くもので、今回は暗号資産取引所を被害対象として明示した。

攻撃は、セキュリティーの弱いアプリや開発・テスト用システムを起点に始まる。ハッカーはそこから実際の運用システムへアクセス範囲を広げ、資金移転を処理する決済・支払いAPIを直接呼び出して資金を奪った。APIはシステム同士が機能や情報をやり取りする接点で、攻撃者は正規の支払い機能を悪用した。

AIは攻撃の準備と実行を加速させるために使われた。ハッカーは標的企業のプログラムコードを分析し、侵入に必要な攻撃コードを素早く作成したり修正したりした。当局が攻撃速度を「機械の速度」と表現した背景には、こうした実態がある。

既にセキュリティー対策を講じていた企業でも被害は続いている。CERT-Inは、以前に限定的な警報を受けて対策を取ったノンバンク金融会社やフィンテック企業からも、被害報告が引き続き寄せられていると明らかにした。

当局は、週末や祝日に監視要員を増やし、平時より小さな異常の兆候でも警報が作動するよう設定することを勧告した。被害を受けた取引所の名称や具体的な損失額は公表していない。